API Т‑Банка и сертификаты Минцифры: как использовать без установки на сервере

У меня есть Tg-бот, в нём я подключил оплату через платёжные ссылки Т-Банка. В какой-то момент ссылки перестали создаваться, в логах ошибка:
SSL certificate OpenSSL verify result: self-signed certificate in certificate chain (19)

Причина: Т и другие российские банки стали переходить на отечественные сертификаты, ибо зарубежные удостоверяющие центры стали отзывать свои сертификаты.

Варианты действий:

1. Подключить другую платёжку, которая (пока) не импортозаместила сертификаты.

2. Установить сертификаты на сервер (инструкция).
   Вам потребуется определённая степень доверия родному государству.
   На виртуальном хостинге так и вовсе может быть невозможно.

3. Собрать свою цепочку из сертификатов и использовать её только при запросах к API российских банков.
   Подходит для виртуального хостинга.

Третьему варианту меня научила нейронка, вот порядок действий:

1. Скачать сертификаты.

2. Распаковать два архива и загрузить на сервер вот эти файлы:
   russian_trusted_root_ca_pem.crt
russian_trusted_sub_ca_pem.crt
russian_trusted_sub_ca_2024_pem.crt

3. На сервере (у меня Ubuntu) скачать набор сертификатов от Mozilla:

   curl -fsSL -o cacert.pem https://curl.se/ca/cacert.pem
   

4. Собрать объединённую цепочку:

   cat \
      cacert.pem \
      russian_trusted_root_ca_pem.crt \
      russian_trusted_sub_ca_pem.crt \
      russian_trusted_sub_ca_2024_pem.crt \
      > ru-ca-bundle.pem
   

5. Проверить, что работает:

   curl -v --cacert ru-ca-bundle.pem https://mddc.tbank.ru/
   

6. Посмотреть сроки действия сертификатов:

   openssl x509 -in russian_trusted_root_ca_pem.crt -noout -subject -issuer -dates
   openssl x509 -in russian_trusted_sub_ca_pem.crt -noout -subject -issuer -dates
   openssl x509 -in russian_trusted_sub_ca_2024_pem.crt -noout -subject -issuer -dates
   

7. Выбрать минимальную из дат и поставить себе напоминалку, чтобы обновить их.

8. Добавить использование этой цепочки в коде запросов к российским банкам.
   У меня на php это выглядит так:

   $caBundlePath = __DIR__ . '/ru-ca-bundle.pem';
   if (!is_readable($caBundlePath)) {
       myerror("Tinkoff CA bundle is not readable", ['path' => $caBundlePath]);
       return false;
   }
   $ch = curl_init();
   curl_setopt_array($ch, [
       CURLOPT_URL => TINKOFF_INIT_URL,
       CURLOPT_RETURNTRANSFER => true,
       CURLOPT_POST => true,
       CURLOPT_POSTFIELDS => $postDataJson,
       CURLOPT_HTTPHEADER => [
           'Content-Type: application/json',
           'Content-Length: ' . strlen($postDataJson),
       ],
       CURLOPT_SSL_VERIFYPEER => true,
       CURLOPT_SSL_VERIFYHOST => 2,
       CURLOPT_CAINFO => $caBundlePath,
   ]);
   
   $output = curl_exec($ch);
   

Таким образом, запросы к банку будут отправляться с использованием российских сертификатов, а все остальные — как и раньше, с использованием глобальных.

Генерация ссылок на оплату через фирменный Tg-бот

Обратился заказчик, ему нужно принимать предоплату за бронь падел-кортов.

• Создавать платёжную ссылку из ЛК Тинькофф неудобно — заказчик не хотел давать доступ к счёту всем менеджерам.

• Статичный QR-код не подходит — нужно же понимать, за какую бронь пришла оплата.

• Каких-то других готовых решений без дополнительных комиссий не нашли.

Я показал рабочий пример в моём Tg-боте: там генерируется уникальная ссылка, при переходе по которой клиент платит удобным способом. И не на карту менеджеру, а на расчётный счёт, вполне официально.

На этом варианте и остановились.

Механика работы

1. Менеджеру даём ссылку на бот с секретным ключом вида t.me/name_of_bot?start=secret_key

2. Когда менеджер переходит по ней, он автоматически получает право создавать ссылки на оплату для заданного терминала. Это такой очень простой и надёжный вариант авторизации.

3. Менеджер нажимает "Создать ссылку", указывает номер брони, email клиента (он требуется для отправки чека) и сумму.

4. Бот через API Тинькофф создаёт ссылку и присылает её менеджеру.

5. Менеджер пересылает клиенту.

6. Клиент по ссылке попадает на платёжную страницу Тинькофф, там оплачивает через приложения банков, картой или по СБП.

7. Менеджеру приходит уведомление, что бронь с таким-то номером оплачена.

Элементарно, работает как часы, заказчик доволен.

Занятный денежный факт

За создание этого платёжного бота я получил больше денег, чем за всё время существования и разработки своего бота для мониторинга сайтов, из которого эту маленькую функцию и стащил. Но мониторинг не брошу.

Зачем я это написал

Я подумываю сделать решение универсальным сервисом для создания платёжных ссылок. Интересно узнать, сталкивались ли вы с подобной задачей и как решили?

Как отказаться от мизинца для Ctrl + C и Ctrl + V на Windows.

Мои этапы знакомства с "горячими клавишами":

1. Что это за ерунда, это чтобы пальцы не мёрзли?

2. Что за дикари используют мышь для копирования и вставки?

3. Apple, нафига вы даже комбинации клавиш сделали по-своему?

4. Apple — красавцы! Нажимать ⌘ command большим пальцем куда удобней, чем Ctrl мизинцем — на Windows.

5. Хочу так же на Windows.

Идея простая: нужно поменять местами (переназначить) левый Ctrl и левый Alt (я обычно использую левую руку для большинства комбинаций).

Раньше я использовал для этих целей программу SharpKeys — она просто добавляет в реестр неообходимые записи.

Потом узнал про PowerToys от Microsoft, которая позволяет делать этот и многие другие фокусы с Windows, не переживая за её целостность и безопасность.

Бонусом можно поназначать себе всяких хитрых символов (≈²€≠) на комбинации клавиш.

Короче, рекомендую.

Простейший Windows-скрипт для поиска дубликатов файлов в папке.

Проблема: в папке с бэкапами фоток скопилось много дубликатов под разными названиями.

Я не нашёл способа корректно эти дубликаты удалить средствами Windows, а ставить что попало на компьютер ради такой ерунды тоже не хотелось. Поэтому написал очень простой скрипт на Powershell. Нужно поместить его в нужную папку и в контекстном меню выбрать "Выполнить с помощью PowerShell". Конечно, сперва проверьте содержимое файла от неизвестного издателя (меня).

Скрипт сравнит размеры всех файлов и, при равенстве размеров, сравнит md5-суммы. Если и размер, и контрольная сумма совпадают, то останется файл с наименьшей длиной названия, а все его дубликаты будут перемещены в корзину.

Код доступен на GitHub.

Telegram-бот подстрахует ваш сайт

В отличие от профиля в социальной сети или батарейки Nokia 3310, за сайтом нужен кое-какой присмотр, чтобы он продолжал работать.

Если конкретно:

• Нужно вовремя продлевать домен.

• Нужно вовремя продлевать SSL-сертификат.

• Нужно следить за балансом на хостинге.

• Желательно периодически проверять работоспособность сайта и его основных страниц.

Примеры происшествий с сайтами из моего опыта:

• Хостинг впал в ничтожество.

• Разработчик перепутал папки на сервере.

• Сайт перестал открываться под грузом DDoS-атаки.

• Сайт взломали и разместили на нём что-то своё.

Если сайт/web-сервис сломался, то возможны такие последствия:

• Перестают звонить потенциальные клиенты.

• Начинают жаловаться действующие клиенты.

• Сайт падает в глазах поисковых алгоритмов, а значит и в поисковой выдаче.

• Рекламный бюджет тратится впустую.

Как предотвратить эти риски

• Домен: Включить автопродление у своего регистратора и читать письма от него.

• SSL-сертификат:Настроить автоматический перевыпуск.Поставить напоминалку в календарь, чтобы проконтролировать.

• Баланс на хостинге:Включить автопополнение и читать письма от хостинга.

• Работоспособность сайта:Настроить мониторинг и/или иногда заходить на него.

Вариант для подстраховки

Я написал Telegram-бота для мониторинга сайтов и вот прямо сейчас его рекламирую. Можете попробовать без регистрации и SMS.

• Бот будет следить за сроками действия домена и сертификата, заранее напомнит о продлении.

• По 144 раза на дню будет проверять доступность сайта.

• Сообщит об изменении заголовка страницы. Например, если деньги на хостинге закончатся, то заголовок изменится на что-то вроде “Домен не прилинкован к директории”.

• Опционально может раз в день/неделю присылать отчёт по сайту (просто для успокоения).

Бот не заменяет собой полноценного аудита/тестирования сайта, но зато максимально прост в использовании и за 20 секунд ваших усилий предотвратит 80% проблем.

Обратная связь (даже та, которая не мажется на хлеб) очень приветствуется!

Биллинговая дилемма, которую не смог решить ChatGPT

Пишу первый в своей жизнь биллинг.

Контекст

У меня есть Telegram-бот для мониторинга сайтов. Я ввожу в нём платный тариф: 1 сайт бесплатно, каждый дополнительный — 2 рубля в день. Пользователь может в любой момент добавлять/удалять сайты, а также пополнять баланс.

Структура данных

1. Подписки

   1. Пользователь

   2. Дата создания

   3. Дата удаления

   4. Причина удаления
      Например, отключение пользователем или приостановка за неуплату.

2. Пополнения

   1. Пользователь

   2. Сумма

3. Списания

   1. За какую подписку

   2. За какой день

   3. Сумма

Задачи

1. Ежедневно списывать деньги с баланса в соответствии с тем, сколько за истекшие сутки сайтов было на мониторинге.

2. Отключать мониторинг дополнительных сайтов при исчерпании баланса.

3. Сразу же уведомлять об этом пользователя.

При этом

1. Очень хочу делать расчёты по календарным суткам, с полуночи до полуночи. Проще код, лаконичнее детализация расчётов (если понадобится в дальнейшем).

2. В уведомлении должен быть актуальный баланс на текущий момент.

3. Не хочу слать уведомления об исчерпании баланса ночью.

4. Не хочу слать уведомления с задержкой после списания:

   1. Если мониторинг был отключен в полночь, а уведомление пришло только днём, то некрасиво.

   2. Если расчёт в полночь, а отключать днём, в момент уведомления, то с полуночи прошло какое-то время, за которое при дальнейших расчётах будут списаны деньги, а это некрасиво.

   3. ...либо нужно усложнять код и делать этот период бесплатным.

Как бы вы предложили разрешить эту дилемму? Может, есть какие-то общепринятые практики?

Как я снизил нагрузку на базу данных в 53 раза с помощью ChatGPT

Недавно запустил Telegram-бота для мониторинга сайтов. Он раз в 10 минут проверяет сайты, добавленные пользователями. Постепенно их проверка стала занимать существенное время.

Сначала я думал, что проблема в медленных сайтах и долгих ответах whois. Потом замерил разные участки кода и понял, что примерно 3 секунды для каждого из сайтов отрабатывает запрос к моей же базе данных (MySQL). С помощью него я получаю результаты предыдущих проверок: последней и последней успешной. Это нужно, чтобы сравнить с текущим результатом и уведомить пользователя об изменениях.

Запрос выглядел примерно так:

SELECT *
FROM 
    checks c
LEFT JOIN (
    SELECT *
    FROM checks c2
    WHERE c2.id = (
            SELECT MAX(c3.id)
            FROM checks c3
            WHERE c3.db_message_id = c2.db_message_id 
              AND c3.response_received = true
        )
) AS sub 
ON  c.db_message_id = sub.db_message_id
WHERE
    c.db_message_id = :db_message_id
ORDER BY c.id DESC 
LIMIT 1;

Я попросил ChatGPT o1-preview оптимизировать код, его предложение:

SELECT *
FROM
    (SELECT * 
     FROM checks 
     WHERE db_message_id = :db_message_id 
     ORDER BY id DESC 
     LIMIT 1) c
LEFT JOIN
    (SELECT *
     FROM checks
     WHERE db_message_id = :db_message_id AND response_received = true
     ORDER BY id DESC
     LIMIT 1) c2
ON 1=1;

Время обработки сайтов снизилось примерно в 10 раз, нагрузка на базу — в 53.

Кажется, подписка окупилась.

Сегодня Яндекс.Метрика отключила сервис мониторинга сайтов.
Я создал замену: Телеграм-бот, который следит за доступностью сайтов и присылает уведомления, если что-то не так.

Сервис Яндекса умел отправлять письма и SMS двух видов:

• Проблемы с доступностью сайта.

• Сайт снова доступен.

В своём боте я сделал чуть больше проверок:

• Сайт недоступен/снова доступен.

• Изменился заголовок сайта.
  Может выручить, если в какой-то момент вместо сайта появится заглушка "домен не прилинкован к директории" или что-то в этом роде.

• Истекает срок действия SSL-сертификата или домена.

• Изменился конечный адрес (если срабатывает переадресация).

Казалось бы, простой пингатор, но на деле нюансов оказалось очень много. Может быть, напишу статью с техническими деталями.

Старался от души и сделал полезный инструмент для владельцев/администраторов сайтов.

Пока что всё бесплатно, пробуйте!

Telegram-бот "Мониторинг сайта"